Il cloud è il paradigma che ha rivoluzionato il mondo dell’informatica computerbased: la nuvola e i servizi in essa rilasciati sono il futuro. La tecnologia va avanti, così come gli attacchi informatici, dove le vecchie metodologie vanno sempre per la maggiore: il bruteforce, ovvero l’attacco a forza bruta, è ancestrale come utilizzo ma sempre molto attuale ed è la base su cui è stato sviluppato CloudBrute, incluso nella nuova release di Kali Linux.
L’attacco a forza bruta
L’attacco a forza bruta è una metodologia che prevede tipicamente la scansione di un file contenente una lista di parole che successivamente vengono applicate a vari contesti (form o chiamate dirette), verificando la risposta positiva o negativa del sistema. Tipicamente questo attacco è utilizzato dai tool per il reperimento delle password (il più famoso è John The Ripper) che generano come output l’eventuale occorrenza riscontrata.
A spasso nel cloud
Molte aziende o comunque molti servizi hanno scelto il cloud per il proprio futuro: dietro un URL che identifica l’host aziendale ci sono vari artefatti che rimandano verso uno specifico servizio utilizzato, di solito nascosto dietro una rewrite o comunque non raggiungibile direttamente. Partendo quindi da Internet, si arriva a questo primo passo, l’URL: da qua inizia la scansione vera e propria
Cloud Surfing e Detection Mode
Dall’URL, CloudBrute fornisce la possibilità di identificare direttamente il cloud provider oppure di fare una scansione globale tra tutti quelli supportati. Partire dal provider permette di andare a verificare tutti quei pattern che sono esclusivi per esso, come storage e applicazioni. Amazon, Google, Microsoft, DigitalOcean, Alibaba, Vultr e Linode sono i provider al momento supportati nel branch master di CloudBrute, dai quali parte successivamente tutta l’analisi ricostruendo i percorsi di allocazioni in storage (S3 per Amazon, Storage Account per Microsoft, Google Storage per Google, ecc.) e applicazioni. La metodologia per il reperimento delle informazioni per risalire al provider si basa sull’analisi del piano di indirizzamento rilevato dall’URL, in modo da capire chi espone i servizi per quell’azienda.
Come lo installo?
Troviamo CloudBrute installato di default nella nuova Kali Linux. Se però vogliamo installarlo su un’altra distro Linux o su Windows, ci basta scaricare il programma da https://github.com/0xsha/CloudBrute/releases, decomprimere il pacchetto scaricato e, nel caso di Linux, rendere eseguibile il file cloudbrute con il comando $ chmod u+x cloudbrute
Le opzioni di CloudBrure
Il tool presenta un’interfaccia da linea di comando molto semplice e funzionale. Nella schermata che trovate sul sito web potete leggere le sue opzioni. Un esempio di avvio è CloudBrute –d target.com –k target –m storage –t 80 –T 10 –w ./dictionary.txt. Il risultato è la scansione endpoint per storage del dominiotarget.com con nomi interpolati con le occorrenze nel file dictionary.txt, con timeout 10 secondi e parallelizzati in 80 processi per volta.
Start Attack!
Ogni cloud provider ha una propria struttura, con endpoint ben specifici esposti o comunque utilizzati, ma i ritorni delle chiamate HTTP sono molto simili tra di loro: esito 404 se la risorsa non esiste, esito 403 se esiste ma non è accessibile o esito 200 se esiste ed è accessibile. Partendo da una interpolazione tra DNS e il file passato come argomento a CloudBrute e usato successivamente, si genera una lista di endpoint da testare e, a seconda dell’esito HTTP di ritorno, possiamo capire se sia valido o meno (questo poi porterà ad altri attacchi, ma comunque successivi a questa prima fase di reconnaissance).
Il tool lavora esclusivamente in blackbox (cioè alla cieca), è estremamente veloce con la possibilità di parallelizzare le operazioni con più thread per volta, è utilizzabile su più sistemi operativi (Windows, Linux e Mac) e può sfruttare, per anonimizzare maggiormente, le operazioni:
- User-Agent Randomization, generando User-Agent leciti e sempre diversi in modo da fare arrivare la richiesta da più client il flusso ufficiale del tool anche se proveniente sempre dallo stesso terminale;
- Proxy Randomization, mascherando la richiesta da proxie specifici e sempre diversi, per non fornire mai l’esatto indirizzo IP sorgente.
Tutto quello che c’è da sapere sul cloud
CloudBrute permette quindi di trovare e di scoprire l’infrastruttura di un determinato bersaglio sui maggiori cloud provider al mondo, cercando di rilevare file e applicazioni. Partendo da un URL come parametro, il tool inizia una scansione cercando di reperire eventuali storage malconfigurati, app e file, usando un’analisi condotta in modo parallelo per massimizzare la ricerca e tramite il cambio trasparente e randomico di proxy e user agent per anonimizzare al meglio.
